¿Qué es el control de acceso basado en roles (RBAC)?
El control de acceso basado en roles (RBAC) es un método de gestión de permisos en el que los derechos se asignan a roles, y las personas o los servicios se asignan a esos roles. Cada rol lleva el acceso necesario para una función y nada más, lo que facilita revisar los accesos y limita lo que puede hacer una sola cuenta.
¿Cómo funciona el RBAC?
Un administrador define roles, cada uno con un conjunto de acciones permitidas sobre un conjunto de recursos. Después, los usuarios, los grupos y las cuentas de servicio se asocian a roles. Cuando alguien cambia de puesto, cambia su asignación de rol y los permisos la siguen. Cuando un auditor pregunta quién puede eliminar copias, la respuesta es la lista de miembros de los roles que incluyen ese permiso. La idea de fondo es el mínimo privilegio: una cuenta debe tener solo los derechos que necesita.
¿Qué roles necesita un entorno de copias de seguridad?
El software de copia y los sistemas de almacenamiento incluyen roles predefinidos, y los nombres varían. La separación que importa es entre ejecutar copias, restaurar datos y cambiar o eliminar cosas.
| Rol | Puede hacer | No debería poder hacer |
|---|---|---|
| Operador de copias | Iniciar trabajos, ver el estado | Eliminar copias, cambiar la retención |
| Operador de restauración | Restaurar archivos y sistemas | Cambiar trabajos o repositorios |
| Administrador de copias | Configurar trabajos y repositorios | Retirar bloqueos a nivel de almacenamiento |
| Administrador de almacenamiento | Gestionar capacidad, usuarios y buckets | Leer o eliminar datos de copia bloqueados |
| Auditor | Ver la configuración y los registros | Cambiar nada |
| Cuenta de servicio de los trabajos | Escribir y leer sus propios datos | Administrar el almacenamiento |
¿Por qué importa la separación de roles frente al ransomware?
Los atacantes van a por la cuenta con más derechos. Cuando una sola cuenta de administrador puede configurar trabajos, eliminar puntos de restauración y gestionar el almacenamiento, basta con robarla para borrar todas las copias. Repartir esas capacidades entre roles hace que una única credencial robada llegue a menos, lo que reduce el radio de impacto administrativo. Las cuentas de servicio que usan los trabajos de copia merecen la misma atención, porque se guardan en el servidor de copias. Los artículos Limitar las cuentas de servicio de copias y Separar las cuentas de administrador tratan la práctica.
¿Cuáles son los límites del RBAC?
El RBAC decide quién puede pedir una acción. No impide que una cuenta autorizada haga un mal uso de sus derechos, y los roles tienden a acumular permisos con el tiempo si no se revisan. Por eso se combina con otros controles: autenticación multifactor para las personas con roles privilegiados, el principio de los cuatro ojos para las acciones destructivas y la inmutabilidad, para que los puntos de restauración almacenados estén protegidos sea cual sea el rol que obtenga un atacante.
Preguntas frecuentes
¿Qué diferencia hay entre RBAC y mínimo privilegio?
El mínimo privilegio es el objetivo de dar a cada cuenta solo el acceso que necesita. El RBAC es una forma de organizar los permisos que hace manejable ese objetivo.
¿Deben venir los roles de copias del directorio de producción?
Asociar roles a grupos del directorio es cómodo, pero liga el acceso a las copias a la seguridad del directorio. Las cuentas locales para los roles más privilegiados evitan esa dependencia.
¿Con qué frecuencia deben revisarse las asignaciones de roles?
Al menos una vez al año, y siempre que alguien se incorpore, cambie de puesto o se marche.